Kāpēc ca.key kopēšana uz katru VPN klientu sabojā CA
Klients pārbauda CA publisko sertifikātu; tam nekad nav vajadzīga parakstošā atslēga. ca.key kopēšana uz katru ierīci nodod izsniegšanas tiesības ikvienam, kas paņem vienu kopiju.
Kaut kur instalēšanas instrukcijās visa direktorija tiek nokopēta uz katru portatīvo datoru, jo tas bija vienkāršāk nekā izlemt, kuras datnes tur pieder. Šajā direktorijā ir ca.key, un tajā brīdī, kad tā nonāk otrajā ierīcē, sertifikātu iestāde pārstāj būt iestāde. Tagad jebkurš turētājs var izsniegt identitātes, kurām uzticēsies pārējais tīkls.
Šo neskaidrību ir vērts vienreiz izšķetināt, jo abas datnes izskatās līdzīgi, bet dara pretējas lietas.
Pārbaudes materiāls un parakstīšanas materiāls
Klientam ir vajadzīgs CA publiskais sertifikāts, lai pārbaudītu, ka otras puses uzrādīto sertifikātu ir parakstījusi šī iestāde. Tas ir pārbaudes uzdevums, un tam nemaz nav vajadzīgs nekāds noslēpums. Otras puses sertifikāta parakstīšana ir cits uzdevums, ko vienreiz veic tas, kurš pārvalda CA, ar privāto atslēgu, kas nekad neatstāj savu aizsargāto krātuvi. Šo divu uzdevumu atdalīšana ir visa jēga divu datņu piegādei.
Tāpēc ca.crt pieder profilam, un ca.key nepieder nekur tā tuvumā. Datņu nosaukumi ir vienošanās, nevis garantija, tāpēc tips ir jāpārbauda, nevis jāsecina no nosaukuma.
Arhitektūra ar starpposma CA vai tiešsaistes izsniegšanas pakalpojumu nav izņēmums. Tas ir ierastais veids, kā turēt parakstīšanas spēju tālu no galapunktiem un tomēr lielā apjomā izsniegt ierīču sertifikātus.
Kas klientam jāpierāda ar savu atslēgu
Katra ierīce saņem savu atslēgu pāri un savu sertifikātu, ko vienreiz paraksta CA. Klients uzrāda šo sertifikātu un pierāda, ka tam ir atbilstošā privātā atslēga, un serveris izlemj, vai to pieņemt. Šī ir identitāte, kas tiek atsaukta, kad portatīvais dators tiek pazaudēts.
Šis pretstats vissvarīgākais ir pēc zādzības. Ar identitāti katrai ierīcei viens atklāts klients tiek izņemts ar atsaukšanu vai otras puses noņemšanu, un pārējā flote turpina darboties.
Noplūdušu iestādes atslēgu tā apieties nevar. Katrs sertifikāts, ko tā jebkad parakstījusi vai varēja parakstīt, kļūst aizdomīgs, tāpēc atbilde ir uzticības aizstāšana, nevis viens atsaukums. Tas ir projekts, nevis biļete.
| File | Role | Belongs on |
|---|---|---|
ca.crt | Public certificate used to verify signatures | Every client profile |
ca.key | Private key that issues certificates | Protected CA storage only |
| client key pair | Proves one device's identity | That device alone |
Izlasiet datni pirms kopēšanas jebkur
Divas komandas pasaka, kāda veida objektu jūs turat rokā, neizdrukājot nekādu noslēpumu. Pirmā nosauc subjektu un CA karodziņu sertifikātā; otrā validē atslēgu un ziņo tās tipu. Palaidiet abas datnēm komplektā, ko grasāties izplatīt. Viss, kas validējas kā privātā atslēga, nepieder klienta direktorijai.
openssl x509 -in ca.crt -noout -subject -ext basicConstraints openssl pkey -in ca.key -noout -check
Ja otrā komanda izdodas datnē, kas atrodas klienta komplektā, apstājieties un uzskatiet komplektu par apdraudētu. Izvade, kas saka, ka atslēga ir derīga, saka arī, ka tā ir klāt, un klātbūtne ir visa problēma.
Ņemiet vērā arī pretējo virzienu: klienta profils likumīgi satur šī klienta privāto atslēgu. Visu atrasto atslēgu dzēšana pārtrauc savienojumu, neko neuzlabojot, tāpēc objekts ir jāidentificē pirms noņemšanas.
Jau izplatītas atslēgas ierobežošana
Neuzskatiet, ka vietējās kopijas dzēšana atceļ pakļaušanu. Ikviens, kam bija datne, to varēja nokopēt, un drošais pieņēmums ir tāds, ka nokopēja. Sekojiet operatora incidentu procedūrai un nomainiet uzticības enkuru, atkārtoti izsniedzot ierīču sertifikātus jaunas CA pakļautībā.
Pēc tam mainiet iepakojumu, kas radīja problēmu. Sūtiet direktorijas sarakstu ar skaidru atļauto datņu sarakstu, turiet CA atslēgu mašīnā, kas nekad nepievienojas klientu flotei, un pierakstiet, kura sistēma to glabā.
Ja iestādei bieži jāizsniedz, pārvietojiet parakstīšanu aiz pakalpojuma vai starpposma iestādes ar šauru tvērumu un īsu derīgumu. Tā nākotnes kļūda atklās izsniegšanas daļu, nevis visas ieviešanas uzticības sakni.